[发明专利]一种HTTP通信内容检测的方法

权利要求书

1.一种HTTP通信内容检测的方法，其特征在于其具体实现过程为：

一、在高速网络环境下，得到HTTP流的出入网络数据，对IPv4/IPv6 HTTP数据流做拦截回调：

构建一个基于WFP驱动、在IPv4/IPv6双协议栈上的流过滤驱动，对TCP流数据过滤；

在WFP驱动内部得到IPv4/IPv6相应的HTTP流数据；

采用字符串匹配算法将字符串转为树状有限状态自动机DFA；

二、进行内容检测：采用由后及前方式进行搜索，搜索关键词出现频率、权重并作统计，这里的关键词是指多阶段攻击行为和恶意代码的特征关键词；

三、搜索敏感内容字符串并报警或做进一步分析。

2.根据权利要求1所述的一种HTTP通信内容检测的方法，其特征在于：所述步骤一中基于WFP驱动的HTTP网络数据流内容检测详细操作过程为： 

1）在FWPM_LAYER_STREAM_v4/6双协议流层注册callout例程；

2）根据层过滤条件设置要过滤参数；

3）将相应数据流复制到分配的内存，利用字符串匹配算法做流数据模式匹配；

4）得到关键字字符串出现信息，提取数据流关键字符串。

3.根据权利要求1或2所述的一种HTTP通信内容检测的方法，其特征在于：所述步骤二的内容检测过程为：

A、对得到的HTTP网络数据流做蠕虫、关键词和可疑流量检测；

B、采用字符串匹配算法对数据流做字符串集合的多模式匹配；

C、实时检测进出网络数据流病分析入侵行为，做实时报警和对关键字匹配。

4.根据权利要求3所述的一种HTTP通信内容检测的方法，其特征在于：所述步骤A中的检测是指根据HTTP协议检测相应URL，并对HTTP请求“GET”、“HEAD”和“POST”做分析检测。

5.根据权利要求3所述的一种HTTP通信内容检测的方法，其特征在于：所述网络数据的检测采用缓存方式，即开启数个接收队列和发送队列，数据处理后由发送队列发送。